Comment le logiciel malveillant LemonDuck cible les entreprises et comment rester protégé

Le paysage des menaces de cybersécurité s’est considérablement aggravé depuis le début de la pandémie de COVID-19. Les entreprises et les entrepreneurs sont plus à risque que jamais; en fait, selon l'AV-Test Institute of IT Security, en Allemagne, il y avait 137,7 millions de nouveaux échantillons de logiciels malveillants en 2020. En août 2021, 117 millions de nouveaux échantillons de logiciels malveillants avaient déjà été trouvés.

Cependant, un malware pas si nouveau est à nouveau en hausse et cible les PC Windows. C'est ce qu'on appelle le Le logiciel malveillant LemonDuck, et même s'il peut sembler mignon, il est équipé pour voler vos données et endommager votre systèmes. Explorons donc ses dangers et comment vous, ou votre entreprise, pouvez rester protégé.

Qu'est-ce que le logiciel malveillant LemonDuck ?

LemonDuck est un malware robuste et activement mis à jour qui est sur le radar de la cybersécurité depuis mai 2019. Il a d'abord gagné en infamie pour botnet et les attaques de minage de crypto-monnaie, et depuis lors, il a évolué en un malware très sophistiqué.

LemonDuck est une menace multiplateforme qui cible à la fois vos appareils Windows et Linux. Il utilise une variété de vecteurs d'attaque différents pour se propager, tels que les e-mails de phishing, les exploits, les périphériques USB et la force brute, entre autres. Microsoft a averti qu'au-delà de l'utilisation de ressources pour ses activités traditionnelles de bot et d'exploitation minière, LemonDuck peut désormais voler vos informations d'identification et supprimer les contrôles de sécurité de vos systèmes.

Il ne se soucie pas des limites de domaine et se déplace latéralement à travers vos applications, points de terminaison, identités d'utilisateurs et domaines de données. Il peut installer des outils pour de futures attaques humaines, et défendre vos systèmes peut être difficile si vous ne savez pas ce que vous faites.

Pourquoi vous devriez prendre la menace LemonDuck au sérieux

À ses débuts, LemonDuck ciblait principalement la Chine et n'est pas allé beaucoup plus loin que cela. Aujourd'hui, ses opérations se sont étendues à plusieurs pays: États-Unis, Russie, Chine, Allemagne, le Royaume-Uni, l'Inde, la Corée, le Canada, la France et le Vietnam ont tous souffert le plus au cours des dernières fois.

LemonDuck infecte les systèmes en se déguisant en fichiers inoffensifs que nous voyons quotidiennement. Il est facile d'en devenir la proie, car il utilise les actualités, les événements ou la publication de nouveaux exploits pour mener des campagnes efficaces et attirer ses cibles.

Par exemple, Le message de Microsoft discuter du logiciel malveillant indique qu'il a repéré LemonDuck en utilisant des leurres sur le thème de COVID-19 dans des attaques par e-mail en 2020. En 2021, il a exploité les vulnérabilités Exchange Server récemment corrigées pour accéder à des systèmes obsolètes.

De plus, LemonDuck ne s'arrête pas à exploiter des vulnérabilités nouvelles ou populaires. Si votre organisation a d'anciennes vulnérabilités non corrigées dans son système, LemonDuck peut les exploiter pendant que vous vous concentrez sur la correction d'une nouvelle vulnérabilité au lieu de corriger ce qui est déjà connu.

Ce qui rend LemonDuck encore plus dangereux, c'est qu'il ne tolère aucun autre attaquant autour de lui. En fait, LemonDuck les supprime d'un appareil compromis en se débarrassant des logiciels malveillants concurrents. Il empêche également toute nouvelle infection en corrigeant les mêmes vulnérabilités que celles utilisées pour accéder.

Gardez un œil sur le jumeau maléfique de LemonDuck, LemonCat

L'équipe Microsoft 365 Defender Threat Intelligence a également exposé l'infrastructure LemonCat dans son rapport. LemonCat utilise également le malware LemonDuck, mais une organisation différente l'exploite à ses propres fins.

Il utilise deux domaines avec le mot "cat" dans ses domaines (sqlnetcat[.]com, netcatkit[.]com) et a été vu en train d'exploiter les vulnérabilités de Microsoft Exchange Server lors de son apparition en janvier 2021.

Vous devez vous méfier de LemonCat car il est utilisé pour des opérations dangereuses qui compromettent vos données et vos systèmes. Aujourd'hui, les pirates informatiques utilisent LemonCat pour installer des portes dérobées, le vol d'informations d'identification et de données, et la livraison de logiciels malveillants de charges utiles comme le cheval de Troie Windows "Ramnit".

Mais ce n'est pas parce que LemonCat est utilisé pour des agressions plus dangereuses que vous devriez prendre le malware LemonDuck moins au sérieux. En fait, ces résultats mettent en lumière à quel point cette double menace peut être dangereuse pour les appareils Windows. Les attaquants peuvent réutiliser le même ensemble d'outils, d'accès et de méthodes à des intervalles dynamiques pour causer plus de dommages à votre entreprise que prévu auparavant.

En rapport: Pourquoi les développeurs de logiciels malveillants attaquent-ils les grandes entreprises ?

Comment rester protégé avec Microsoft 365 Defender

Espérons que vous avez déjà un système en place qui peut vous protéger contre les menaces de cybersécurité. Par exemple, vous disposez peut-être déjà d'un logiciel antivirus efficace et d'outils de sécurité installés sur vos systèmes. Sinon, vous devriez envisager d'obtenir Microsoft 365 Defender si vous souhaitez une protection au niveau de l'entreprise.

Défenseur Microsoft 365 est une suite de défense d'entreprise unifiée qui comprend Microsoft Defender for Endpoint, Microsoft Solutions Defender pour Office 365, Microsoft Defender for Identity et Microsoft Cloud App Security.

Microsoft 365 Defender peut vous aider à détecter les risques de sécurité, à enquêter sur les attaques contre votre organisation et à empêcher automatiquement les activités nuisibles. Cette solution intégrée de détection et de réponse aux menaces interdomaines offre à votre organisation une défense coordonnée et automatique pour bloquer les menaces avant qu'elles ne deviennent des attaques.

Ses protections de pointe basées sur l'IA peuvent vous aider à surmonter les menaces étendues et sophistiquées de LemonDuck. Un bon exemple est Microsoft 365 Defender pour Office 365, qui détecte les e-mails malveillants envoyés par le botnet LemonDuck pour fournir des charges utiles de logiciels malveillants causant des dommages.

D'autre part, Microsoft Defender for Endpoint détecte et bloque les implants LemonDuck, les charges utiles et les activités malveillantes sur les appareils Linux et Windows.

Avec Microsoft 365 Defender, vous disposez d'outils d'investigation riches que votre équipe de sécurité peut utiliser pour exposer les détections d'activité de LemonDuck. Il analyse et normalise les alertes et les événements connectés et les fusionne en incidents pour vous donner une vue et un contexte complets d'une attaque, le tout dans un seul tableau de bord.

De plus, il expose même les tentatives de compromission et de prise de pied sur le réseau, afin que les équipes des opérations de sécurité puissent répondre et résoudre ces attaques de manière efficace et en toute confiance.

Comment déployer Microsoft 365 Defender pour votre entreprise

Selon le fonctionnaire Documentation Microsoft 365 Defender, il s'active automatiquement si un client éligible disposant des autorisations requises visite le portail Microsoft 365 Defender.

Vous pouvez utiliser Microsoft 365 Defender sans frais supplémentaires si vous disposez d'une licence pour un Microsoft 365 produit de sécurité comme Microsoft 365 E5 ou A5, Windows 10 Entreprise E5 ou A5 et Office 365 E5 ou A5.

Que faire de plus pour garder LemonDuck à distance

Vous pouvez également appliquer certaines mesures d'atténuation pour renforcer votre défense et réduire l'impact du malware LemonDuck.

1. Scannez régulièrement vos périphériques de stockage USB et amovibles et bloquez-les sur les appareils sensibles. Vous devez également désactiver l'exécution automatique et activer la protection antivirus en temps réel.
2. Méfiez-vous des e-mails suspects. LemonDuck a utilisé des attaques par e-mail avec des sujets tels que "La vérité sur COVID-19", "HALTH ADVISORY: CORONA VIRUS", "What the fcuk", "This is your order?" et plus. Il existe trois types de pièces jointes utilisées pour ces leurres: .doc, .js, ou un .zip contenant un. déposer. Quel que soit le type, le fichier est nommé « readme ». Parfois, vous trouverez les trois dans le même e-mail.
3. Encouragez l'utilisation de navigateurs Web prenant en charge SmartScreen dans votre organisation. SmartScreen identifie et bloque les sites Web malveillants, y compris les sites de phishing, les sites frauduleux et les sites contenant des exploits et hébergeant des logiciels malveillants.

Il existe d'autres recommandations d'atténuation importantes que vous pouvez lire dans Partie 2 de la série de blogs de Microsoft. Là, vous pourrez également explorer une analyse technique approfondie des actions malveillantes qui suivent une infection LemonDuck et obtenir des conseils pour enquêter sur les attaques LemonDuck.

Gardez votre organisation protégée

LemonDuck et LemonCat sont des menaces que vous devez prendre au sérieux. Les logiciels malveillants multi-composants en constante évolution comme ceux-ci peuvent concevoir de nouvelles façons d'accéder et d'endommager vos appareils Windows et vos actifs commerciaux.

Cependant, vous pouvez rester protégé en restant vigilant et à jour et en faisant des choix intelligents. Comme le déploiement d'un outil de sécurité robuste comme Microsoft 365 Defender pour permettre à votre équipe de sécurité de détecter, d'analyser et d'éliminer les menaces avant qu'elles ne puissent nuire.

Les logiciels malveillants peuvent-ils tromper votre antivirus pour contourner la protection contre les ransomwares ?

Les logiciels antivirus n'arrêtent pas toujours les ransomwares. Voici comment les cybercriminels le contournent et ce que vous pouvez faire à ce sujet.

Lire la suite

A propos de l'auteur